CVE-2025-68437 in Craft
الملخص
بحسب VulDB • 15/05/2026
Craft هي منصة لإنشاء تجارب رقمية. في الإصدارات 5.0.0-RC1 حتى 5.8.20 و4.0.0-RC1 حتى 4.16.16، تكون عملية `save_<VolumeName>_Asset` في GraphQL الخاصة بـ Craft CMS عرضة لهجوم تزوير الطلبات من جانب الخادم (SSRF). ينشأ هذا الثغرة الأمنية لأن مدخل `_file`، وتحديداً معلمة `url`، تسمح للخادم بجلب المحتوى من مواقع بعيدة عشوائية دون التحقق المناسب. يمكن للمهاجمين استغلال ذلك عن طريق توفير عناوين IP الداخلية أو نقاط نهاية بيانات التعريف السحابية كمعلمة `url`، مما يجبر الخادم على إرسال طلبات إلى هذه الخدمات المقيدة. يتم بعد ذلك حفظ المحتوى المسترجع كأصل، والذي يمكن الوصول إليه لاحقاً وسرقة البيانات منه، مما يؤدي إلى احتمال تعرض البيانات واختراق البنية التحتية. يتطلب هذا الاستغلال أذونات GraphQL محددة لإدارة الأصول داخل الحجم المستهدف. يجب على المستخدمين التحديث إلى الإصدارات المصححة 5.8.21 و4.16.17 للتخفيف من هذه المشكلة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.